SuperAPI AI 工具集
合作ENAI 行业资讯收藏
Skill 广场security-scanning-security-hardening

security-scanning-security-hardening

安全与审计

查看项目

更新于 10-16 03:29

技能介绍

用途

该技能用于协调多智能体执行跨应用、基础设施与合规控制的多层安全扫描与加固，采用纵深防御（defense-in-depth）策略，遵循现代 DevSecOps 原则，包括左移安全、自动化扫描与合规验证。每个阶段基于前一阶段的发现推进，以形成可应对当前漏洞与未来威胁的安全态势。

适用与不适用场景

适用：运行协调一致的安全加固计划；在应用、基础设施和 CI/CD 中建立纵深防御控制；根据扫描与威胁建模结果排定修复优先级。

不适用：仅需快速扫描而不做修复工作；缺乏安全测试或变更授权；环境无法承受侵入式安全控制。

主要能力（按阶段）

阶段一：全面安全评估

  1. 初始漏洞扫描：使用 security-auditor 子智能体，执行 Semgrep/SonarQube 的 SAST 分析、OWASP ZAP 的 DAST 扫描、Snyk/Trivy 依赖审计、GitLeaks/TruffleHog 密钥检测，生成 SBOM 用于供应链分析，识别 OWASP Top 10、CWE 弱点与 CVE 暴露。输出含 CVSS 评分、可利用性分析、攻击面映射、密钥暴露报告、SBOM 清单。
  2. 威胁建模与风险分析：使用 STRIDE 方法，分析攻击向量、构建攻击树、评估业务影响，映射到 MITRE ATT&CK 框架，按可能性与影响排定风险。
  3. 架构安全审查：使用 backend-api-security::backend-architect 子智能体，评估服务边界、数据流安全、认证/授权架构、加密实现、网络分段，设计零信任架构模式。

阶段二：漏洞修复

  1. 关键漏洞修复：协调修复 CVSS 7+ 漏洞，如用参数化查询修复 SQL 注入、输出编码修复 XSS、安全会话管理修复认证绕过、输入验证修复不安全反序列化，并应用 CVE 补丁。
  2. 后端安全加固：使用 backend-api-security::backend-security-coder，加入 OWASP ESAPI 输入验证、限流与 DDoS 防护、OAuth2/JWT 校验、AES-256/TLS 1.3 静态与传输加密、不含 PII 的安全日志。
  3. 前端安全实施：使用 frontend-mobile-security::frontend-security-coder，配置基于 nonce 的 CSP、DOMPurify 防 XSS、PKCE OAuth2 认证流、外部资源 SRI、SameSite/HttpOnly/Secure 安全 Cookie。
  4. 移动安全加固：使用 frontend-mobile-security::mobile-security-coder，加入证书固定、生物识别认证、加密本地存储、ProGuard/R8 代码混淆、防篡改与 root/越狱检测、安全 IPC。

阶段三：安全控制实施

  1. 认证与授权增强：部署带 PKCE 的 OAuth2/OIDC、TOTP/WebAuthn/FIDO2 多因素认证、基于风险的认证、最小权限的 RBAC/ABAC、安全令牌轮换的会话管理。
  2. 基础设施安全控制：使用 deployment-strategies::deployment-engineer，配置 WAF 规则、微服务网络分段、IDS/IPS、云安全组与 NACL、限流与地理封锁的 DDoS 防护。
  3. 密钥管理实施：部署 HashiCorp Vault 或 AWS Secrets Manager，实施密钥轮换策略、移除硬编码密钥、配置最小权限 IAM 角色、支持 HSM 的加密密钥管理。

阶段四：验证与合规

  1. 渗透测试与验证：执行认证与非认证测试、API 安全测试、业务逻辑测试、权限提升尝试，使用 Burp Suite、Metasploit 与自定义利用，验证所有安全控制有效性。
  2. 合规与标准验证：对照 OWASP ASVS Level 2、CIS Benchmarks、SOC2 Type II、GDPR/CCPA、HIPAA/PCI-DSS 进行验证，生成合规证明报告。
  3. 安全监控与 SIEM 集成：使用 incident-response::devops-troubleshooter，部署 Splunk/ELK/Sentinel 集成、安全事件关联、行为分析异常检测、自动化事件响应剧本、安全仪表盘与告警。

使用方式

按阶段执行：先执行阶段一建立安全基线，再应用阶段二修复高风险问题，然后实施阶段三控制并验证防御，最后完成阶段四验证与合规检查。各步骤通过 Task 工具调用指定 subagent_type 并传入提示词，提示词中以 $ARGUMENTS 作为目标占位符。

配置选项

  • scanning_depth："quick" | "standard" | "comprehensive"（默认 comprehensive）
  • compliance_frameworks：["OWASP", "CIS", "SOC2", "GDPR", "HIPAA", "PCI-DSS"]
  • remediation_priority："cvss_score" | "exploitability" | "business_impact"
  • monitoring_integration："splunk" | "elastic" | "sentinel" | "custom"
  • authentication_methods：["oauth2", "saml", "mfa", "biometric", "passwordless"]

成功标准

所有 CVSS 7+ 关键漏洞已修复；OWASP Top 10 漏洞已处理；渗透测试无高风险发现；合规框架验证通过；安全监控可检测并告警威胁；关键告警的事件响应时间小于 15 分钟；已生成 SBOM 并跟踪漏洞；所有密钥通过安全保险库管理；认证实现 MFA 与安全会话管理；安全测试集成到 CI/CD 流水线。

安全与协调注意事项

未经批准避免在生产环境进行侵入式测试；加固变更前确保存在回滚计划。各阶段提供详细发现以指导后续阶段；security-auditor 智能体与领域专用智能体协调修复；所有代码变更在实施前经过安全审查；评估与修复之间保持持续反馈循环；安全发现记录在集中式漏洞管理系统中；实施后安排定期安全审查。

限制

该技能依赖多智能体编排环境与相应子智能体（如 security-auditor、backend-security-coder 等）的可用性；具体工具（Semgrep、SonarQube、OWASP ZAP、Snyk、Trivy、GitLeaks、TruffleHog、Burp Suite、Metasploit、HashiCorp Vault、Splunk/ELK/Sentinel 等）需在目标环境中具备。资料未提供具体收费、价格、平台支持范围或实际效果数据。